Skype comble une nouvelle vulnérabilité en catimini

Skype a récemment comblé une vulnérabilité de sécurité affectant son logiciel de VoIP et plus exactement sa fonctionnalité SkypeFind, via laquelle les utilisateurs peuvent créer ou critiquer une entrée relative à un lieu géographique spécifique par exemple. Par le biais de cette vulnérabilité, des attaquants pouvaient exécuter du code JavaScript malicieux sur des PC fonctionnant dans un environnement Windows.

A l'instar du trou de sécurité découvert dans Skype en janvier, le problème était dû à l'affichage de pages Web externes en utilisant le moteur de rendu du navigateur Internet Explorer, et ce dans le contexte de sécurité Zone Locale du fureteur de Microsoft où l'exécution de scripts est autorisée. Le client Skype ne filtrait ainsi pas correctement le nom de certains contacts et du code JavaScript inséré dans le champ de ces noms pouvait s'exécuter.

Découverte par le chercheur en sécurité Aviv Raff, comme l'autre vulnérabilité du mois de janvier pour Skype sur laquelle les développeurs planchent encore, ladite faille a été corrigée mais Skype n'a pas indiqué de quelle manière. Aucune version de mise à jour n'est toutefois à télécharger pour s'en prémunir.